Diagnosi
Capire che cosa fa una cancellazione
Cancellare un file non significa sempre eliminarne subito il contenuto. A seconda del file system, la cancellazione può inizialmente rimuovere la voce che permetteva di trovarlo. Le aree contenenti i dati possono restare presenti fino a quando non vengono riutilizzate.
Questa distinzione spiega perché alcuni dati cancellati siano recuperabili, ma ne chiarisce anche i limiti: il sistema considera lo spazio nuovamente disponibile. Ogni nuovo file, aggiornamento, download o cache può sostituire parte dei vecchi dati.
Il cestino aggiunge un passaggio. Finché il file è ancora al suo interno, il ripristino è spesso semplice. Dopo averlo svuotato bisogna ragionare sulle strutture rimaste, sulle scritture eseguite e sul tipo di supporto.
L'articolo su formattazione e limiti del recupero tratta un caso vicino. La cancellazione riguarda spesso singoli file, mentre la formattazione modifica la struttura del volume.
Diagnosi
Individuare che cosa è cambiato dopo la cancellazione
La domanda principale è che cosa sia successo dopo la cancellazione. Il computer ha continuato a funzionare? Sono stati copiati file? È stato installato un programma? La sincronizzazione cloud ha propagato l'eliminazione? Questi dettagli cambiano la diagnosi.
Su un disco di sistema, l'attività può generare molte scritture senza un intervento visibile: log, cache, aggiornamenti, indicizzazione e file temporanei. Anche il semplice trascorrere del tempo è rilevante se la macchina rimane accesa e attiva.
Su un supporto esterno, il rischio dipende dalle manipolazioni. Copiare nuovi file, riparare il volume, creare una cartella o eseguire prove tecniche sulla sorgente può sovrascrivere aree utili.
Gli ambienti sincronizzati richiedono una verifica separata. Un file eliminato localmente può essere ancora disponibile in una versione cloud, in un cestino remoto, in un backup o su un vecchio dispositivo non collegato. Prima del ripristino occorre confrontare tutte le fonti.
Diagnosi
Agire senza sovrascrivere i dati
La prima regola è interrompere le scritture. Se la cancellazione riguarda un disco esterno, bisogna scollegarlo correttamente. Se riguarda un disco di sistema, non si deve installare uno strumento su quella stessa unità. Per un account cloud, versioni e cestini vanno controllati prima di riorganizzare i contenuti.
Non bisogna confondere rapidità e precipitazione. Ripristinare il backup sbagliato può sovrascrivere una versione più completa. Avviare più strumenti può creare nuovi file temporanei. Rinominare o spostare cartelle può rendere meno chiara la cronologia.
Il recupero deve essere salvato su un altro supporto. Anche quando un tentativo è ragionevole, i file trovati non vanno mai registrati sulla sorgente da cui sono stati cancellati. Questa semplice regola evita di sovrascrivere i dati cercati.
La pagina sul processo di recupero descrive la logica della presa in carico. Dopo una cancellazione, la diagnosi deve stabilire quali scritture siano avvenute in seguito e quali fonti alternative siano disponibili.
Diagnosi
Valutare i limiti in base al supporto
Su un hard disk, i dati cancellati possono rimanere presenti finché i settori non vengono riutilizzati. I file frammentati, molto grandi o legati a un'applicazione possono tuttavia risultare parziali se i metadati sono scomparsi.
Su un SSD la situazione è diversa. TRIM e la gestione interna della memoria flash possono rendere rapidamente indisponibili le aree cancellate. Il risultato dipende dal sistema, dal controller, dal tempo trascorso e dall'attività successiva.
Su una scheda di memoria o una chiavetta USB, il recupero dipende dal file system, dall'usura e dalle scritture eseguite in seguito. Una fotocamera, un drone o una videocamera possono riutilizzare rapidamente lo spazio, soprattutto durante le riprese video.
La verifica deve essere concreta. Vedere il nome di un file in un elenco non basta: bisogna aprire il documento, riprodurre il video, decomprimere l'archivio o controllare il database con la sua applicazione. Un file recuperato può essere corrotto.
Diagnosi
Prevenire le cancellazioni critiche
La prevenzione si basa su versioni e backup verificati. Una copia utile deve permettere di tornare a una data precisa, senza dipendere dal cestino o da un unico account sincronizzato.
I permessi devono essere adeguati. In un'azienda, non tutti dovrebbero poter eliminare cartelle critiche senza lasciare traccia. Log e cronologie delle versioni riducono l'incertezza dopo un incidente.
Gli utenti devono sapere come reagire: interrompere le scritture, non installare strumenti sulla sorgente, non ripristinare senza criterio e annotare la cronologia. Un'istruzione breve protegge meglio di una lunga procedura che nessuno legge.
Una cancellazione accidentale non è sempre definitiva, ma diventa più grave se è seguita da scritture e tentativi disordinati. La possibilità migliore consiste nel preservare lo stato e cercare la fonte meno modificata.
Bisogna considerare anche le applicazioni aziendali. Eliminare un file esportato non ha le stesse conseguenze della cancellazione di un database, di una casella di posta o di una cartella sincronizzata. Dipendenze, indici e allegati possono contare quanto il file principale.
La cronologia deve essere precisa: ora della cancellazione, account utente, dispositivo impiegato, sincronizzazione attiva, backup disponibile e azioni già tentate. Queste informazioni aiutano a stabilire quale fonte abbia maggiori possibilità di contenere la versione corretta.
Le versioni intermedie vanno preservate. Un backup meno recente può essere sano, mentre uno molto nuovo può avere già registrato la cancellazione. Confrontare più date evita di sostituire una perdita con un ripristino incompleto.
Infine, la riservatezza rimane importante. I dati cancellati possono contenere informazioni personali o sensibili. Il recupero deve limitarsi al perimetro utile, documentare la restituzione ed evitare di diffondere file che non devono essere aperti.
Occorre inoltre distinguere una cancellazione volontaria da una accidentale. La tecnica può essere simile, ma la restituzione risponde a esigenze diverse. Una cartella professionale può richiedere tracciabilità, mentre una perdita personale mira soprattutto a ritrovare file utilizzabili.
I file ritrovati senza nome devono essere trattati con prudenza. Un recupero basato sulle firme può produrre documenti, foto o video senza albero delle cartelle. Può bastare per alcuni usi, ma non per un database, un progetto o un fascicolo la cui organizzazione dimostra il contesto.
In questi casi, la qualità della restituzione dipende dai metadati quanto dal contenuto grezzo.
Una selezione finale insieme all'utente permette di confermare quali versioni siano davvero utili.
Evita inoltre di restituire duplicati senza valore.
Diagnosi
Fonti tecniche primarie e limiti
Perimetro documentale — cancellati recupero limiti: Per dati cancellati recupero limiti, le fonti primarie utilizzate sono NIST SP 800-86. Evidenza fisica — cancellati recupero limiti: Definiscono i concetti pertinenti di conservazione, struttura di archiviazione e convalida, ma non dimostrano lo stato fisico effettivo, il comportamento del controller, la disponibilità delle chiavi o la coerenza applicativa del dispositivo ricevuto. Evidenza del controller — cancellati recupero limiti: Questi aspetti richiedono misure sul gruppo originale e verifiche su copie.
Diagnosi
Richiedere una diagnosi controllata
Gruppo completo — cancellati recupero limiti: Per diagnosticare dati cancellati recupero limiti, fornire il dispositivo o il gruppo completo, alimentatori e interfacce associati, ordine ed etichette dei membri, cronologia dei sintomi ed elenco preciso dei dati prioritari. Cronologia dell’incidente — cancellati recupero limiti: Le credenziali autorizzate vanno trasmesse tramite un canale protetto separato; non riavviare la sorgente solo per ottenere una nuova schermata.
Responsabilità del laboratorio — cancellati recupero limiti: Datastrophe esegue direttamente diagnosi, controlli di integrità e recupero nel proprio laboratorio con il proprio personale. Diagnosi gratuita — cancellati recupero limiti: Diagnosi e preventivo sono gratuiti. Limite del trasporto — cancellati recupero limiti: Il trasporto privato di andata e ritorno è incluso; il corriere sposta esclusivamente il pacco sigillato e non accede né tratta i dati.
Elenco controllato — cancellati recupero limiti: Prima di qualsiasi pagamento, il cliente riceve il prezzo proposto e un elenco verificato. Classi di verifica — cancellati recupero limiti: Ogni elemento è classificato, nell’ordine, come recoverable_verified, partial, detected_unverified o unrecoverable. Momento del pagamento — cancellati recupero limiti: Solo gli elementi recoverable_verified, aperti e giudicati utilizzabili, vengono presentati come recuperabili. Esito non verificato — cancellati recupero limiti: Il pagamento avviene dopo l’accettazione dell’elenco e del prezzo.
Esito non verificato — cancellati recupero limiti: Se non viene verificato alcun dato utilizzabile, il recupero non riesce oppure il cliente rifiuta elenco o prezzo, non è dovuto alcun costo standard. Ricambio eccezionale — cancellati recupero limiti: L’unica eccezione riguarda un ricambio raro, costoso e non rimborsabile, ordinabile soltanto dopo l’accettazione di una proposta separata, esplicita e quantificata.